我/我如何通过 javascript 访问 sessionid cookie？答案

【问题标题】：how do i/can i access a sessionid cookie through javascript?我/我如何通过 javascript 访问 sessionid cookie？
【发布时间】：2013-10-08 02:47:34
【问题描述】：

我已经为 jquery 安装了 cookie 扩展，并且正在尝试访问 session id cookie。

我目前有两个 cookie 用于我的会话 - 请参见下面的屏幕截图：

然而，$.cookie() 只列出一个：

> $.cookie()
Object {csrftoken: "fFrlipYaeUmWkkzLrQLwepyACzTfDXHE"}
> $.cookie('sessionid')
undefined

我可以/我如何从 javascript 访问 sessionid cookie？

【问题讨论】：

你不应该这样做，因为会话 id cookie 应该设置为 HTTP Only，从而阻止来自 javascript 的访问。确实，屏幕截图显示确实如此。
对此的解释是否记录在某处？
这是一个安全问题，因此会话 ID 不会被 xss 漏洞暴露。
介意弹出您的评论作为答案吗？

标签： javascript jquery session cookies

【解决方案1】：

会话 id cookie 应标记为仅 HTTP，以防止来自 javascript 的访问。这是一个安全问题，通过 xss 漏洞防止会话劫持。

您可以在屏幕截图中看到该 cookie 确实被标记为 HTTP。

如果您想了解有关该标志的更多信息，请参阅here。最初由 IE 实现，现在大多数浏览器都支持该标志，并且未标记为 http-only 的会话 cookie 被认为是一个安全漏洞。另见here。

【讨论】：